Steam Deck et Linux : quatre failles du noyau signalées, faut-il mettre SteamOS à jour ?

Plusieurs failles du noyau Linux ont été détaillées les 21 et 22 octobre 2026. Deux rapports concernent le serveur de fichiers SMB intégré au noyau, avec une gravité CVSS de 9,0. De quoi s'inquiéter si l'on joue sur Steam Deck ? Oui, il faut suivre les correctifs, mais rien ne permet d'affirmer que toutes les consoles sous SteamOS sont directement exposées.

Quelles failles Linux viennent d'être signalées ?

Quatre signalements visant Linux figurent dans la liste officielle de la Zero Day Initiative au 21 octobre 2026 : ZDI-CAN-33549 et ZDI-CAN-33774 (CVSS 9,0), ZDI-CAN-34076 (8,6) et ZDI-CAN-33367 (7,8). Les deux premiers concernent KSMBD, un serveur de partage de fichiers SMB : leur score élevé ne signifie pas qu'une Steam Deck utilisée normalement soit directement vulnérable. Les deux autres touchent des composants différents du noyau et ne doivent pas être présentés comme des failles KSMBD. Pour les joueurs, la bonne décision reste de vérifier les mises à jour SteamOS stables disponibles, sans passer en bêta dans l'espoir d'un correctif non confirmé. L'exposition dépend des composants et services réellement actifs.

Le rapport public de ZDI-CAN-33367 décrit une élévation locale de privilèges via skb_zerocopy ; un correctif a ensuite été proposé sur la liste netdev et des distributions ont publié leurs propres mises à jour. Pour ZDI-CAN-34076, l'identifiant renvoie au pilote cible NVMe (nvmet) et à un score de 8,6, mais les informations publiques disponibles ne suffisent pas à établir une exposition SteamOS. Dans les deux cas, ne déduisez pas une vulnérabilité de votre Steam Deck à partir du seul nom « Linux ».

Steam Deck et SteamOS : le risque est-il immédiat ?

Le Steam Deck utilise SteamOS, fondé sur Linux, mais cela ne suffit pas à établir qu'un bogue du noyau est exploitable sur l'appareil. Il faut notamment identifier la version du noyau, le composant compilé et activé, les services lancés, les ports accessibles et les conditions exactes de l'attaque. Pour les deux signalements KSMBD, un usage classique de jeu n'implique pas automatiquement l'exposition d'un serveur de fichiers SMB.

L'inquiétude est plus directement pertinente pour certains PC Linux ou machines de jeu configurés pour partager des fichiers sur un réseau, en particulier si le service et les options concernés sont actifs. Réduire l'exposition réseau et désactiver les services inutiles reste une précaution sensée, sans garantir à elle seule la disparition de toutes les vulnérabilités.

SteamOS 3.9.5 est disponible : faut-il l'installer ?

Valve a publié SteamOS 3.9.5 le 23 octobre 2026 pour l'ensemble des utilisateurs, après la phase Beta/Preview de la branche 3.9. Les notes officielles mentionnent des mises à jour de sécurité et de stabilité, mais ne citent pas explicitement ZDI-CAN-33549, ZDI-CAN-33774, ZDI-CAN-34076 ou ZDI-CAN-33367. Il est donc utile d'installer la version stable proposée par le système, mais il serait toujours incorrect de présenter cette mise à jour comme le correctif confirmé de ces quatre signalements.

Attention aussi aux effets secondaires : une branche bêta est conçue pour tester des nouveautés et peut introduire des régressions. Sur une console qui fonctionne bien, ne changez pas de canal uniquement parce qu'un titre alarmiste promet une protection immédiate.

Que faire concrètement sur Steam Deck ou sur un PC Linux ?

Sur Steam Deck, ouvrez Paramètres → Système, contrôlez les mises à jour disponibles et consultez les notes officielles. Le choix du canal se trouve dans Paramètres → Système → Canal de mise à jour du système, selon la version de l'interface. Préférez le canal stable si vous n'avez pas de raison précise de tester une bêta, et sauvegardez vos données importantes avant un changement majeur. Notre comparatif des consoles portables sous SteamOS rappelle que plusieurs modèles partagent cet écosystème sans forcément utiliser la même configuration logicielle.

Sur un PC Linux, appliquez les mises à jour de sécurité distribuées par votre distribution dès qu'elles sont disponibles ; vérifiez si vous avez activé KSMBD ou d'autres services de partage réseau, et évitez de rendre un partage SMB accessible depuis Internet. Ne téléchargez pas de noyau ou de pseudo-patch provenant de liens non officiels. Les utilisateurs avancés peuvent consulter les avis du fournisseur de leur distribution pour confirmer la version corrigée et les conditions d'exposition.

Correctif attendu ou correctif confirmé : la différence

Un signalement public décrit un risque ; une note de version générique annonçant des « mises à jour de sécurité » ne prouve pas sa correction. Pour parler de correctif confirmé, il faut une référence explicite à la faille, au changement de code pertinent ou à un bulletin technique du mainteneur. Il faut aussi vérifier que ce correctif est effectivement intégré à la version installée, car les distributions maintiennent souvent leurs propres branches du noyau.

En pratique, ces révélations invitent surtout à surveiller les annonces de Valve et les mainteneurs Linux, pas à considérer chaque Steam Deck comme compromise. JeuxEnd mettra à jour les informations lorsqu'une correspondance documentée entre ces vulnérabilités et une version corrigée de SteamOS sera disponible.

Sources primaires : Zero Day Initiative, rapport technique KSMBD 33549, rapport technique KSMBD 33774, annonces officielles Valve.